Ledger 고객 파일, 2020년에 두 번 유출 — CNIL, 2024년에 75만 유로 벌금 부과

고객의 암호화폐를 지키는 하드웨어 지갑을 만드는 파리 소재 기업 Ledger의 금고는 뚫린 적이 없지만, 고객 파일은 뚫렸다. 2020년 5월과 6월 사이에 해커 두 명이 Ledger의 Shopify 스토어프론트를 통해 약 29만 명 구매자의 전자상거래 파일을 빼냈다. 여기에는 이름, 전화번호, 이메일, 실제 주소가 담겨 있었다. 6월에는 API 키 결함으로 추정되는 두 번째 사건이 발생해 약 100만 명의 뉴스레터 구독자가 노출되었다.

구매자 파일은 2020년 8월까지 비공개로 판매되고 있었고, 2020년 12월에는 해킹 포럼 RaidForums에 무료로 공개되었다. 뉴스레터 이메일 1,075,382건과 기기 구매자 272,853명의 이름, 우편 주소, 전화번호를 나열한 파일이었다. 하드웨어 지갑을 소유한다는 것은 암호화폐를 보유한 사람이라는 표시이므로, 그 주소들은 표적 정보가 되었다. 소유자들은 복구 문구를 수집하는 가짜 Ledger Live 앱이 담긴 피싱 이메일에 폭격을 당했고, 사기꾼들은 나중에 Ledger CEO를 사칭한 편지와 함께 위조 교체 기기를 우편으로 보냈다.

약 50명의 고객이 프랑스 CNIL에 불만을 제기했다. 2024년 10월, 규제 당국은 고객 데이터 보존 기간과 데이터 보안 방식이라는 두 가지 GDPR 의무 위반을 이유로 Ledger에 제재를 가했다. 75만 유로의 벌금은 The Big Whale이 보도하고 CNIL이 해당 매체에 확인해 주었다. 결정문 자체는 공개되지 않았다. Ledger는 제재를 확인하면서 자사의 보관 제품은 전혀 노출되지 않았고 사건은 전자상거래 활동에만 관련된 것이라고 강조했다.

보존 및 보안 실패로 75만 유로의 벌금이 부과된 것으로 보도되었다. 29만 명 구매자의 자택 주소가 수년간 해커 포럼에서 유통되었다.

지갑 제조사에게 구매자의 자택 주소는 표적 정보이다. 이 유출은 암호화폐를 보유할 가능성이 가장 높은 사람들을 정확히 겨냥한 수년간의 피싱, 가짜 기기 우편 발송, 협박 시도에 연료를 공급했다.

보존 기간은 명시된 두 가지 GDPR 위반 중 하나였다. 상업적 가치가 사라진 후에도 오래 보관된 고객 데이터는 순전한 부채이다.

보안은 다른 하나였다. Shopify를 통해 접근 가능한 스토어프론트 파일과 유출되는 API 키는 규제 당국이 강화를 기대하는 평범한 공격 표면이다.

일단 도난당한 유출 데이터는 상업적 수명이 길다. 두 달 안에 비공개로 판매되고, 6개월 안에 무료로 공개되며, 벌금이 부과된 4년 후에도 여전히 유통되고 있었다.

보안 기업에게 고객 파일도 보안 표면이다. 금고를 소유한 사람들의 자택 주소는 표적 정보이다. 필요한 것만 보관하고, 보관하는 것은 지켜라.

전자상거래 파일과 관련된 두 해커는 2023년 3월 The Big Whale이 보도한 대로 체포되었다. API 키 해커는 체포되지 않았다. Ledger는 제재를 확인했고 여전히 고객을 겨냥하는 피싱 캠페인을 추적하는 공개 페이지를 운영하고 있다. CNIL은 결정문을 공개하지 않았지만 피해를 주장하는 사람은 누구든 회사를 법정에 세울 수 있다고 밝혔다. 사기는 이메일에서 우편으로 진화했다. CEO를 사칭한 편지와 함께 발송된 위조 Nano 기기는 구매자들에게 암호화폐를 넘기게 될 교체 기기로 전환하라고 촉구했다. 유출 사건은 고객들의 우편함을 통해 재현된 것이다.